远程 Debian 11 主机上安装的多个程序包受到 dla-4083 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4083-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jochen Sprickerhof 2025 年 3 月 11 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：squid 版本：4.13-10+deb11u4 CVE ID：CVE-2024-25111 CVE-2024-37894 CVE-2024-45802 Debian 错误：

    在功能齐全的 Web 代理缓存 Squid 中发现数个安全漏洞。

    CVE-2024-25111

        因不受控制的递归错误，HTTP 分块解码器可能遭到拒绝服务攻击。此问题允许远程攻击者在发送构建的分块编码 HTTP 消息时造成拒绝服务。

    CVE-2024-37894

        由于分配 ESI 变量时存在越界写入错误，Squid 容易遭受内存损坏错误的影响。此错误会导致拒绝服务攻击。

    CVE-2024-45802

        禁用 ESI 功能支持。
        - 由于输入验证、在预期生命周期期间过早地释放资源以及在 Effective Lifetime 之后缺少释放资源的错误，Squid 容易受到受信任服务器对使用代理的所有客户端发动的拒绝服务攻击。此问题已通过更改构建配置以指定 --disable-esi 选项进行修复。

    对于 Debian 11 bullseye，已在 4.13-10+deb11u4 版本中修复这些问题。

    建议您升级 squid 程序包。

    如需了解 squid 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/squid

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dla-4083：squid - 安全更新

high Nessus 插件 ID 232586

版本 1.1